Jeśli korzystasz z systemu Windows, jesteś prawdopodobnie(nowe okno) przynajmniej częściowo(nowe okno) świadomy(nowe okno) tego, że Twój laptop Cię szpieguje(nowe okno). W tym tygodniu otrzymaliśmy konkretne przypomnienie o tym, jak bardzo inwazyjny(nowe okno) dla prywatności(nowe okno) jest w rzeczywistości ten wszechobecny system operacyjny firmy Microsoft.
Peter Stokes, 19-latek podejrzany o bycie członkiem znanej grupy cyberprzestępczej Scattered Spider(nowe okno), został poddany ekstradycji z Finlandii do Stanów Zjednoczonych i oskarżony o włamanie do „Company F, detalicznego sprzedawcy luksusowej biżuterii”.
To, co czyni tę sprawę interesującą, to jednak to, jak został schwytany.
Windows jako oprogramowanie szpiegujące
Według aktu oskarżenia(nowe okno) FBI Stokes używał sieci VPN, aby ukryć swoją aktywność online. Jest to powszechnie uważane za rozsądne rozwiązanie, ponieważ VPN ukrywa Twój prawdziwy adres IP przed odwiedzanymi stronami internetowymi oraz aktywność online przed Twoim dostawcą ISP. Popełnił jednak fatalny błąd nowicjusza: używał systemu Windows.
Władze zidentyfikowały Stokesa na podstawie danych firmy Microsoft, które powiązały jego komputer z podejrzanym użyciem ngrok – narzędzia do tunelowania dla programistów stron internetowych, które posłużyło do „obejścia zabezpieczeń sieciowych Company F i umożliwienia stałego, nieautoryzowanego dostępu do centrum danych tej firmy”.
Microsoft był w stanie zidentyfikować komputer Stokesa dzięki jego Globalnemu Identyfikatorowi Urządzenia (GDID), czyli „identyfikatorowi na poziomie urządzenia, zaprojektowanemu w celu jednoznacznej identyfikacji instalacji systemu operacyjnego Windows na urządzeniu”.
Innymi słowy, każda instalacja systemu Windows ma identyfikator GDID, którego Microsoft może użyć do zidentyfikowania urządzenia (w tym urządzeń wirtualnych) i do zbierania danych telemetrycznych(nowe okno). Ponowna instalacja systemu Windows tworzy nowy GDID dla tego urządzenia, ale nie usuwa starego z systemów firmy Microsoft, dzięki czemu nadal można go użyć do zidentyfikowania urządzenia.
Microsoft przekazał następnie te informacje stronom trzecim.
Jak FBI wykorzystało informacje dostarczone przez Microsoft
Same te dowody nie wystarczyły, aby powiązać przestępstwo ze Stokesem, ale znajomość identyfikatora GDID dała FBI historię adresów IP, z którymi jego urządzenie łączyło się w czasie. Aby udowodnić, że te adresy IP należały konkretnie do Petera Stokesa, śledczy porównali historię adresów IP z logowaniami do kont, o których wiedzieli, że należą do niego, w tym do Apple, Snapchata, Facebooka oraz jego konta w grze Growtopia.
Zgodnie z aktem oskarżenia, powiązanie identyfikatora GDID z kontami należącymi do Stokesa pomogło udowodnić, że GDID użyty do zhakowania jubilera należał do urządzenia będącego własnością Stokesa.
Fakt, że jeden ze zidentyfikowanych w ten sposób adresów IP należał do hotelu w Nowym Jorku, który według śledczych pasuje do wnętrza widocznego na zdjęciu selfie ze Snapchata, pokazującym Stokesa zasłaniającego twarz plikiem 100-dolarowych banknotów, raczej nie pomoże w jego sprawie.
Co to oznacza dla reszty z nas?
Przede wszystkim należy podkreślić, że w tym przypadku system zadziałał zgodnie z przeznaczeniem.
Stokesowi postawiono zarzuty obejmujące spisek, cyberwłamania i oszustwa związane z wymuszeniem okupów na kwotę ponad 100 milionów dolarów w ramach ponad 100 włamań do systemów korporacyjnych od 2022 roku. Wykorzystanie danych Microsoftu przez FBI mieści się w ramach prawnych wymagających nakazów sądowych i wezwań do przedłożenia dowodów.
Jednak GDID rodzi ważne pytania dotyczące zgody użytkownika i tego, kto faktycznie jest właścicielem sprzętu, za który płacisz. Nigdy nie jesteś pytany o zgodę na GDID na swoim urządzeniu i nie ma łatwego sposobu na jego usunięcie. Nawet całkowita ponowna instalacja systemu Windows jest tylko częściowym rozwiązaniem.
W całej obszernej dokumentacji online firmy Microsoft identyfikator GlobalDeviceId doczekał się zaledwie jednej wzmianki, ukrytej(nowe okno) w wysoce niejasnym dokumencie technicznym, którego prawdopodobnie nikt nigdy nie przeczyta.
Prawdą jest jednak, że wszystkie inne główne komercyjne systemy operacyjne, takie jak macOS, Android i iOS, również niemal na pewno potrafią jednoznacznie identyfikować urządzenia na potrzeby ich producentów. Przykre jest to, że większość z nas po prostu akceptuje ten stan rzeczy.
Dla tych, którzy tego nie robią, jedynym praktycznym sposobem na uniknięcie tej sytuacji jest korzystanie z systemów operacyjnych z otwartym kodem źródłowym, takich jak Linux.
